安全态势报告-2025年7月-阿里云安全指南-阿里云

阿里云平台安全态势报告（7月刊）

2025 年 7 月平均每日

阿里云平台 7 月份月共监测并拦截

近期，阿里云安全团队在云上监测到一个新型的挖矿蠕虫团伙，该团伙主要通过SSH爆破的方式进行传播，但不同于一般的蠕虫传播，该团伙采取了一种“分布式”爆破的策略以提升其传播能力。我们根据其使用的IOC，将其命名为Luotuoxiangzi。

Luotuoxiangzi 首先通过 SSH 爆破入侵一台主机，然后从网络上下载一个叫 ddaemon 的程序，作为后续操作的“加载器”。这个加载器会：

与传统蠕虫不同的是，Luotuoxiangzi 并不自带爆破密码的字典，也不随机生成攻击目标，而是：

这种方式让 Luotuoxiangzi 能在短时间内进行大量、多样化的爆破尝试，比传统蠕虫传播得更快、更难防御。

1）相关样本：

2）C2地址：

优先采用阿里云 SSH 密钥对方式登录 Linux 实例，以提升远程访问的安全性；
如因业务需要必须使用密码方式进行登录，请使用数字、字母和符号组成的复杂口令，避免安全组对公网开放。当您收到阿里云安全巡检发现的弱口令告警，说明实例连接密码强度过弱或已经泄露，建议及时进行修改；
当阿里云检测到主机存在疑似入侵风险时，将发送包含“黑客入侵”等关键词的安全告警，建议您按照告警内容及时处置。

近日，阿里云安全团队监测到一个名为“夜枭”的团伙在云上逐渐扩张。黑客团伙主要是通过设置高仿真的钓鱼网站诱骗用户下载恶意软件，进而获取对服务器的控制权，并利用这些被攻陷的服务器进行更广泛的网络攻击或非法活动。

黑客利用了伪装成宝塔面板（一款服务器管理软件）的钓鱼网站和恶意脚本来进行攻击。具体步骤如下：

欺骗用户下载恶意安装脚本：黑客创建了一个与官方宝塔面板几乎一模一样的钓鱼网站，并将其推广到搜索引擎结果中。当用户在搜索引擎中搜索“宝塔”时，可能会误点击进入这个假网站并从那里下载一个看似正常的安装脚本。
执行恶意脚本：一旦用户运行了这个恶意脚本，它会在用户的服务器上下载并执行病毒文件（如lcsys），这些文件会尝试隐藏自身并自动启动以保持持久性。
建立后门连接：恶意程序通过心跳机制与远程控制端保持通讯，允许黑客随时控制受感染的服务器。此外，该程序还会将服务器上的敏感信息（例如宝塔面板的用户名和密码）发送到特定的恶意域名。
持续监控和传播：除了直接损害外，黑客还可能使用受感染的服务器作为跳板，进一步攻击其他目标或加入僵尸网络，用于发起更多的网络攻击或挖矿活动。

1）相关样本

2） C2地址

3）钓鱼网站（部分）

根据攻击数据分析，阿里云安全团队总结了近期云上被高频扫描和利用的漏洞，建议有相关资产或风险的用户及时检测并进行修复或防护。

阿里云上 7 月份被高频攻击的漏洞如下：

其中大部分漏洞已支持免费检测，您可以前往阿里云「安全管控」控制台，开启免费安全体检，进行应急漏洞检测。

前往订阅「云上安全指南」频道，获取更多安全资讯